Imaginez un serveur d’entreprise tournant tranquillement dans un data center, chargé de gérer des bases de données critiques. Soudain, sans aucun bruit d’alarme, une armée invisible s’y installe. Elle détourne la puissance de calcul pour miner de la cryptomonnaie et ouvre une porte dérobée permettant de tout contrôler à distance. Ce scénario n’est plus de la science-fiction. Depuis le début du mois d’octobre 2026, une campagne discrète mais redoutablement efficace cible précisément les serveurs Microsoft SQL exposés sur Internet. Les pirates y installent un mineur Monero camouflé et une variante du célèbre Gh0st RAT. Le résultat : des machines compromises, des données potentiellement volées et une consommation électrique qui s’envole sans que personne ne s’en aperçoive immédiatement.
Une campagne silencieuse qui frappe les bases de données exposées
Les chercheurs en cybersécurité ont repéré cette opération au début d’octobre 2026. Ils ont observé des outils automatisés qui scannent le web à la recherche de serveurs SQL Server accessibles depuis Internet. Une fois un serveur détecté, les attaquants tentent de s’y connecter en utilisant une liste préétablie de plus de 2 700 mots de passe courants, associés à des noms d’utilisateur classiques comme « sa » ou « admin ». Lorsque le couple identifiant-mot de passe fonctionne, la porte s’ouvre et la véritable intrusion commence.
Cette méthode reste d’une simplicité déconcertante. Elle prouve une fois de plus que la majorité des incidents de sécurité ne reposent pas sur des failles zero-day ultra-sophistiquées, mais sur des configurations négligées et des mots de passe trop faibles. Les administrateurs qui laissent le compte « sa » actif avec un mot de passe du type « Password123 » ou « sqladmin » offrent littéralement les clés de leur infrastructure aux pirates.
Comment les attaquants prennent le contrôle via xp_cmdshell
Dès qu’ils ont accès à la base de données, les cybercriminels activent une fonctionnalité dangereuse appelée xp_cmdshell. Cette procédure stockée permet d’exécuter des commandes Windows directement depuis l’environnement SQL Server. En théorie, Microsoft la désactive par défaut sur les nouvelles installations. En pratique, de nombreuses entreprises l’ont réactivée pour des raisons de compatibilité avec d’anciennes applications, sans jamais la désactiver ensuite.
Une fois xp_cmdshell opérationnel, les attaquants lancent un downloader. Ce petit programme se connecte à un serveur distant contrôlé par les pirates et récupère deux charges utiles principales : un mineur Monero et une variante de Gh0st RAT. Le tout se déroule en quelques minutes, sans intervention humaine et sans laisser de traces évidentes dans les journaux de sécurité basiques.
Microsoft insiste depuis des années sur le fait que xp_cmdshell doit rester désactivé sauf nécessité absolue et temporaire. Les commandes exécutées via cette fonction héritent des privilèges du compte de service SQL Server, souvent très élevés. Sans configuration d’un compte proxy moins privilégié, n’importe quel administrateur de base de données peut potentiellement prendre le contrôle de l’ensemble du système d’exploitation.
Le mineur Monero se fait passer pour une mise à jour Microsoft Edge
Le premier malware déployé s’appelle MicrosoftEdgeUpdate.exe. Le nom est parfaitement choisi pour tromper un administrateur pressé qui jetterait un œil aux processus en cours. En réalité, il s’agit d’une version modifiée de XMRig, le mineur open-source le plus utilisé pour la cryptomonnaie Monero. Une fois lancé, il monopolise une grande partie de la puissance CPU du serveur pour générer des XMR au profit des attaquants.
L’analyse du fichier de configuration a révélé une adresse de portefeuille Monero ainsi que trois pools de minage différents. Cette redondance permet au malware de continuer à fonctionner même si l’un des pools devient inaccessible. Le choix de Monero n’est pas anodin : cette cryptomonnaie offre un niveau d’anonymat bien supérieur à Bitcoin, ce qui complique considérablement le traçage des fonds.
Sur un serveur puissant, un seul mineur peut générer plusieurs centaines d’euros par mois. Multiplié par des dizaines ou des centaines de machines compromises, le butin devient rapidement très attractif pour les groupes criminels. Pendant ce temps, l’entreprise victime voit sa facture d’électricité grimper et les performances de ses applications se dégrader, sans toujours comprendre immédiatement la cause.
Gh0st RAT : le couteau suisse du contrôle à distance
Le second payload, nommé winlogon.exe, est bien plus dangereux encore. Il s’agit d’une variante du célèbre Gh0st RAT, un outil de type Remote Access Trojan déjà utilisé dans de nombreuses campagnes d’espionnage et de cybercriminalité depuis plus d’une décennie. Cette version offre des capacités de keylogging, de gestion de fichiers et d’exécution de commandes à distance.
Des modules supplémentaires permettent la capture d’écran et le contrôle du bureau à distance. Ces fonctionnalités n’étaient pas actives dans l’échantillon analysé, probablement parce que l’infrastructure de commande et de contrôle avait déjà été mise hors service au moment de l’examen. Cela n’enlève rien au potentiel destructeur de l’outil : une fois implanté, il transforme le serveur en une machine totalement contrôlable depuis n’importe où dans le monde.
Les mécanismes de persistance mis en place sont multiples et classiques, mais efficaces. Le malware crée des entrées dans le registre Windows, installe un service système et programme une tâche planifiée qui se relance toutes les trente minutes. Même si un administrateur tue le processus principal, le RAT revient rapidement à la vie.
À retenir : la combinaison mineur + RAT est particulièrement pernicieuse. Le premier génère des revenus passifs pour les pirates, le second leur donne un accès permanent pour d’éventuelles actions ultérieures (vol de données, ransomware, pivot vers d’autres machines du réseau).
Des précédents qui montrent une tendance lourde
Cette campagne n’est pas isolée. En juillet 2024, des attaquants avaient déjà exploité des serveurs de partage de fichiers vulnérables pour déployer simultanément des mineurs Monero et des outils de type RAT, dont XenoRAT et Gh0stRAT. Certains groupes, comme LemonDuck, sont particulièrement connus pour ces opérations hybrides qui mêlent cryptojacking et implantation de portes dérobées.
Plus récemment, en août 2025, une faille d’authentification dans le partage d’écran de macOS a permis à des pirates d’installer des mineurs Monero sur des machines dont le port était exposé. Dans tous les cas rapportés, les attaquants obtenaient des privilèges root et déployaient le mineur sans difficulté. Ces exemples démontrent que le cryptojacking reste une activité extrêmement rentable et relativement peu risquée pour les cybercriminels.
Même de grandes entreprises de cybersécurité n’échappent pas à ce type de menaces. En janvier 2025, une campagne d’usurpation d’identité ciblant des candidats à l’embauche a diffusé un faux outil de gestion des employés. Une fois exécuté, le programme téléchargeait… encore une fois XMRig. Les pirates n’hésitent plus à utiliser des prétextes professionnels pour contourner la vigilance des utilisateurs.
Pourquoi les serveurs SQL restent des cibles privilégiées
Les bases de données Microsoft SQL Server sont particulièrement attractives pour plusieurs raisons. Elles stockent souvent des informations sensibles : données clients, informations financières, secrets industriels. Elles disposent d’un compte administrateur « sa » historiquement très privilégié. Et surtout, de nombreuses instances restent accessibles depuis Internet, soit par erreur de configuration, soit parce que des applications tierces l’exigent.
Dans un environnement cloud, le problème s’aggrave. Des machines virtuelles sont créées rapidement, parfois sans revue de sécurité approfondie. Un simple oubli dans les règles de pare-feu peut laisser le port 1433 ouvert au monde entier. Les scanners automatisés des pirates passent alors en quelques heures et identifient les cibles vulnérables.
Le coût pour l’attaquant est quasi nul. Un script de force brute, une liste de mots de passe publics et un serveur de commande bon marché suffisent. Le retour sur investissement, en revanche, peut être élevé, surtout lorsque le mineur tourne pendant des semaines ou des mois avant d’être détecté.
Les signes qui doivent alerter les administrateurs
Plusieurs indicateurs peuvent trahir la présence de ce type de malware. Une utilisation CPU anormalement élevée et constante, même en dehors des heures de pointe, constitue le premier signal d’alarme. La présence de processus nommés MicrosoftEdgeUpdate.exe ou winlogon.exe dans des emplacements inhabituels doit également attirer l’attention.
Les tâches planifiées créées récemment, les nouveaux services Windows non documentés et les modifications suspectes du registre sont autant d’indices. Enfin, une augmentation soudaine et inexpliquée de la facture d’électricité du data center peut, dans certains cas, être le symptôme d’un cryptojacking massif.
Les équipes de sécurité doivent également surveiller les connexions sortantes vers des pools de minage connus et les communications avec des adresses IP suspectes. Les solutions de détection et de réponse sur les endpoints (EDR) modernes sont capables de repérer ces comportements, à condition qu’elles soient correctement déployées et configurées.
Comment se protéger efficacement contre ce type d’attaque
La première mesure, et de loin la plus importante, consiste à ne jamais exposer un serveur SQL directement sur Internet. Si un accès distant est indispensable, il doit passer par un VPN, un bastion ou une solution de zero-trust. Le port 1433 ne doit jamais être ouvert publiquement.
Ensuite, le compte « sa » doit être désactivé ou, à défaut, protégé par un mot de passe extrêmement long et unique, stocké dans un coffre-fort de secrets. L’authentification Windows intégrée est à privilégier dès que possible. L’activation de l’authentification multifacteur pour les comptes administrateurs constitue un filet de sécurité supplémentaire non négligeable.
La fonctionnalité xp_cmdshell doit rester désactivée en permanence. Si une application ancienne en a réellement besoin, elle ne doit être activée que le temps strictement nécessaire, puis immédiatement désactivée. L’utilisation d’un compte proxy à privilèges réduits est obligatoire dans ce cas de figure.
Les mises à jour de sécurité de SQL Server et du système d’exploitation sous-jacent doivent être appliquées rapidement. Les outils de gestion des vulnérabilités et les scanners de configuration permettent d’identifier les instances mal paramétrées avant que les pirates ne le fassent.
Enfin, la surveillance continue des performances et des comportements anormaux reste essentielle. Un seuil d’alerte sur l’utilisation CPU, combiné à une analyse des processus en cours, permet souvent de détecter un mineur avant qu’il n’ait généré des revenus significatifs pour les attaquants.
Les implications plus larges pour la sécurité des infrastructures
Cette campagne illustre parfaitement l’évolution des menaces actuelles. Les cybercriminels ne se contentent plus de voler des données ou de déployer des ransomwares. Ils cherchent à monétiser chaque ressource compromise, y compris la puissance de calcul. Le cryptojacking est devenu une industrie à part entière, avec ses outils, ses pools et ses marchés noirs.
La combinaison d’un mineur et d’un RAT multiplie les possibilités. Une fois le contrôle établi, les pirates peuvent pivoter vers d’autres machines du réseau, voler des informations sensibles, déployer un ransomware à plus grande échelle ou simplement laisser le mineur tourner indéfiniment. Chaque serveur compromis devient une source de revenus et un point d’appui pour de futures opérations.
Les entreprises qui hébergent des bases de données critiques doivent revoir leur posture de sécurité. Les audits réguliers, les tests d’intrusion et la formation des équipes d’administration sont plus que jamais nécessaires. Dans un monde où les scanners automatisés parcourent Internet 24 heures sur 24, la moindre faille de configuration est rapidement exploitée.
Un rappel brutal sur l’importance des bases
Au final, cette affaire rappelle une vérité souvent oubliée : la majorité des attaques réussies reposent sur des erreurs humaines et des négligences de configuration. Les listes de mots de passe faibles circulent librement. Les outils d’exploitation sont disponibles. Les pools de minage accueillent n’importe qui sans poser de questions. Seule une hygiène de sécurité rigoureuse peut vraiment freiner ces campagnes.
Les responsables informatiques ont tout intérêt à considérer chaque serveur exposé comme une cible potentielle. Vérifier les mots de passe, fermer les ports inutiles, désactiver les fonctionnalités dangereuses et surveiller les comportements anormaux constituent le minimum vital. Dans le cas contraire, le prochain mineur Monero ou le prochain Gh0st RAT pourrait bien s’installer dans leur propre infrastructure, sans qu’ils s’en aperçoivent avant longtemps.
La cybercriminalité évolue, mais elle continue de prospérer sur les mêmes fondations fragiles. Tant que des serveurs SQL resteront accessibles avec des identifiants trop simples, les campagnes de ce type continueront de fleurir. La question n’est plus de savoir si une organisation sera ciblée, mais plutôt si elle sera prête le jour où les scanners automatisés frapperont à sa porte.
Les leçons de cette opération sont claires. La surface d’attaque doit être réduite au strict minimum. Les privilèges doivent être limités. La surveillance doit être permanente. Et surtout, la culture de la sécurité doit imprégner chaque décision technique, des plus stratégiques aux plus quotidiennes. C’est à ce prix seulement que les entreprises pourront limiter les dégâts face à des menaces aussi opportunistes que rentables.
En attendant, des centaines, peut-être des milliers de serveurs continuent de miner du Monero à l’insu de leurs propriétaires légitimes. Chaque cycle de processeur détourné représente à la fois une perte financière pour l’entreprise et un gain pour les cybercriminels. Dans cette guerre d’usure silencieuse, seuls ceux qui auront renforcé leurs défenses de base sortiront véritablement gagnants.
La vigilance reste donc de mise. Les outils évoluent, les techniques se perfectionnent, mais le point d’entrée le plus fréquent demeure souvent le même : un mot de passe trop faible sur un service exposé. Une réalité aussi simple que frustrante, et pourtant toujours d’actualité en cette fin d’année 2026.
